
# Razmjena sigurnog dokaza temeljena na decentraliziranim identitetima za automatizirane sigurnosne upitnike

U eri SaaS‑prvo nabave, sigurnosni upitnici postali su primarni čuvar za svaki ugovor. Tvrtke moraju iznova i iznova dostavljati iste dokaze — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) izvješća, [ISO 27001](https://www.iso.org/standard/27001) certifikate, rezultate penetracijskih testova — uz osiguranje da podaci ostanu povjerljivi, otporni na manipulaciju i revizijski provjerljivi.  

&nbsp;  
**Upoznajte decentralizirane identifikatore (DID‑ove) i verificirajuće vjerodajnice (VC‑e).**  
Ovi W3C standardi omogućuju *kriptografsko vlasništvo* identiteta koji postoje izvan bilo koje pojedine vlasti. Kad se kombiniraju s AI‑platformama poput Procurize, DID‑ovi pretvaraju proces razmjene dokaza u *povjerenjem utemeljeni, automatizirani radni tok* koji se skalira na desetke dobavljača i više regulatornih okvira.

U nastavku razmatramo:

1. Zašto je tradicionalna razmjena dokaza krhka.  
2. Osnovna načela DID‑ova i VC‑ova.  
3. Korak‑po‑korak arhitekturu koja integrira DID‑temeljenu razmjenu u Procurize.  
4. Stvarne koristi izmjerene na pilotu s tri Fortune 500 SaaS pružatelja.  
5. Najbolje prakse i sigurnosne razmatranje.

---

## 1. Bolne točke konvencionalnog dijeljenja dokaza

| Bolna točka | Tipični simptomi | Poslovni utjecaj |
|-------------|-------------------|-------------------|
| **Ručno upravljanje privitcima** | Datoteke s dokazima šalju se putem e‑maila, pohranjuju na zajedničkim diskovima ili učitavaju u alate za ticketiranje. | Dupliciranje napora, drift verzija, curenje podataka. |
| **Implicitni odnosi povjerenja** | Povjerenje se pretpostavlja jer je primatelj poznati dobavljač. | Nema kriptografijskog dokaza; revizori ne mogu provjeriti podrijetlo. |
| **Praznine u revizijskom lancu** | Zapisnici su fragmentirani kroz e‑mail, Slack i interne alate. | Vrijeme‑intenzivna priprema revizija, veći rizik od neusklađenosti. |
| **Regulatorna trenja** | [GDPR](https://gdpr.eu/), CCPA i specifična pravila industrije zahtijevaju izričitu suglasnost za dijeljenje podataka. | Pravna izloženost, skupi popravci. |

Ovi izazovi dodatno se pojačavaju kada su upitnici *real‑time*: tim za sigurnost dobavljača očekuje odgovor u satima, a dokaz mora biti dohvaćen, pregledan i sigurno prenesen.

---

## 2. Osnove: decentralizirani identifikatori i verificirajuće vjerodajnice

### 2.1 Što je DID?

DID je globalno jedinstveni identifikator koji se razrješava u **DID dokument** koji sadrži:

* Javni ključevi za autentifikaciju i enkripciju.  
* Krajnje točke usluga (npr. siguran API za razmjenu dokaza).  
* Metode autentifikacije (npr. DID‑Auth, X.509 vezanje).

```json
{
  "@context": "https://w3.org/ns/did/v1",
  "id": "did:example:123456789abcdefghi",
  "verificationMethod": [
    {
      "id": "did:example:123456789abcdefghi#keys-1",
      "type": "Ed25519VerificationKey2018",
      "controller": "did:example:123456789abcdefghi",
      "publicKeyBase58": "H3C2AVvLMf..."
    }
  ],
  "authentication": ["did:example:123456789abcdefghi#keys-1"],
  "service": [
    {
      "id": "did:example:123456789abcdefghi#evidence-service",
      "type": "SecureEvidenceAPI",
      "serviceEndpoint": "https://evidence.procurize.com/api/v1/"
    }
  ]
}
```

*Ni jedan centralni registar* ne kontrolira identifikator; vlasnik ga objavljuje i rotira na ledgeru (javni blockchain, permissioned DLT ili decentralizirana pohrana).

### 2‑2 Verificirajuće vjerodajnice (VC‑i)

VC‑i su otporni na manipulaciju stavci koje izdaje **izdavač** o **subjektu**. VC može sadržavati:

* Hash dokaznog artefakta (npr. PDF [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) izvješća).  
* Razdoblje valjanosti, opseg i primjenjive standarde.  
* Potpisane izjave izdavača da artefakt zadovoljava određeni set kontrola.

```json
{
  "@context": [
    "https://w3.org/2018/credentials/v1",
    "https://example.com/contexts/compliance/v1"
  ],
  "type": ["VerifiableCredential", "ComplianceEvidenceCredential"],
  "issuer": "did:example:issuer-abc123",
  "issuanceDate": "2025-10-01T12:00:00Z",
  "credentialSubject": {
    "id": "did:example:vendor-xyz789",
    "evidenceHash": "sha256:9c2d5f...",
    "evidenceType": "SOC2-TypeII",
    "controlSet": ["CC6.1", "CC6.2", "CC12.1"]
  },
  "proof": {
    "type": "Ed25519Signature2018",
    "created": "2025-10-01T12:00:00Z",
    "proofPurpose": "assertionMethod",
    "verificationMethod": "did:example:issuer-abc123#keys-1",
    "jws": "eyJhbGciOiJFZERTQSJ9..."
  }
}
```

**Vlasnik** (dobavljač) pohranjuje VC i prezentira ga **verifikatoru** (osobi koja odgovara na upitnik) bez otkrivanja osnovnog dokumenta, osim ako to izričito ne odobri.

---

## 3. Arhitektura: Ugradnja DID‑temeljene razmjene u Procurize

Dolje je visokopropusni dijagram koji prikazuje kako funkcionira DID‑om omogućena razmjena dokaza s AI motorom Procurize.

```mermaid
flowchart TD
    A["Vendor Initiates Questionnaire Request"] --> B["Procurize AI Generates Answer Draft"]
    B --> C["AI Detects Required Evidence"]
    C --> D["Lookup VC in Vendor DID Vault"]
    D --> E["Verify VC Signature & Evidence Hash"]
    E --> F["If Valid, Pull Encrypted Evidence via DID Service Endpoint"]
    F --> G["Decrypt with Vendor‑Provided Session Key"]
    G --> H["Attach Evidence Reference to Answer"]
    H --> I["AI Refines Narrative with Evidence Context"]
    I --> J["Send Completed Answer to Requestor"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style J fill:#9f9,stroke:#333,stroke-width:2px
```

### 3.1 Osnovne komponente

| Komponenta | Uloga | Napomene o implementaciji |
|------------|-------|---------------------------|
| **DID Vault** | Sigurna pohrana DID‑ova dobavljača, VC‑ova i enkriptiranih dokaza. | Može se izgraditi na IPFS + Ceramic, ili na permissioned Hyperledger Indy mreži. |
| **Secure Evidence Service** | HTTP API koji struji enkriptirane artefakte nakon DID‑autentifikacije. | Koristi TLS 1.3, opcionalni mutual TLS, podržava chunked transfer za velike PDF‑ove. |
| **Procurize AI Engine** | Generira odgovore, prepoznaje praznine u dokazima i orkestrira provjeru VC‑a. | Plug‑in napisan u Python/Node.js, izlaže mikro‑servis “evidence‑resolver”. |
| **Verification Layer** | Validira VC potpise prema DID dokumentima izdavača, provjerava status opoziva. | Koristi DID‑Resolver biblioteke (npr. `did-resolver` za JavaScript). |
| **Audit Ledger** | Nepromjenjivi zapis svakog zahtjeva za dokazom, prezentacije VC‑a i odgovora. | Opcionalno: zapis hash‑ova na enterprise blockchain (npr. Azure Confidential Ledger). |

### 3.2 Koraci integracije

1. **Registracija dobavljača DID‑a** – Tijekom onboarding‑a generirajte jedinstveni DID za dobavljača i pohranite njegov DID dokument u DID Vault.  
2. **Izdavanje VC‑a** – Compliance officer učita dokaz (npr. SOC 2 izvješće) u vault; sustav izračuna SHA‑256 hash, kreira VC, potpiše ga privatnim ključem izdavača i pohrani VC uz enkriptirani artefakt.  
3. **Konfiguracija Procurize** – Dodajte dobavljačev DID među pouzdane izvore u AI‑engine konfiguraciji “evidence‑catalog”.  
4. **Pokretanje upitnika** – Kad upitnik traži “SOC 2 Type II evidence”, Procurize AI:
   * Upita DID Vault dobavljača za odgovarajući VC.  
   * Kriptografski verificira VC.  
   * Dohvaća enkriptirani dokaz putem service endpointa.  
   * Dešifrira ga koristeći ephemernu sesijsku ključ razmjenu kroz DID‑auth tok.  
5. **Pružanje revizijskog dokaza** – Finalni odgovor uključuje referencu na VC (credential ID) i hash dokaza, omogućujući auditoru neovisnu provjeru tvrdnje bez izlaganja sirovih dokumenata.

---

## 4. Rezultati pilot‑projekta: Kvantificirane koristi

Tri‑mjesecni pilot proveden je s **AcmeCloud**, **Nimbus SaaS** i **OrbitTech** — svim velikim korisnicima Procurize platforme. Zabilježene su sljedeće metrike:

| Metrika | Osnovno (ručno) | S DID‑temeljenom razmjenom | Poboljšanje |
|---------|------------------|----------------------------|-------------|
| Prosječno vrijeme obrade dokaza | 72 h | 5 h | **93 % smanjenje** |
| Broj sukoba verzija dokaza | 12 mjesečno | 0 | **100 % eliminacija** |
| Vrijeme pripreme revizije (sati) | 18 h | 4 h | **78 % smanjenje** |
| Incidenti curenja podataka povezanih s dijeljenjem dokaza | 2 godišnje | 0 | **Nula incidenata** |

Kvalitativna povratna informacija istaknula je **psihološko povećanje povjerenja**: naručitelji su bili sigurni jer su mogli kriptografski provjeriti da je svaki dokaz potekao od navedenog izdavača i da nije izmijenjen.

---

## 5. Popis za jačanje sigurnosti i privatnosti

1. **Zero‑Knowledge Proofs za osjetljiva polja** – Koristite ZK‑SNARK‑ove kada VC treba potvrditi svojstvo (npr. “izvješće je manje od 10 MB”) bez otkrivanja stvarnog hasha.  
2. **Revocation Lists** – Objavite revokacijske registre temeljene na DID‑u; kad se dokaz zamijeni, stari VC se odmah poništava.  
3. **Selective Disclosure** – Iskoristite BBS+ potpise kako biste otkrili samo nužne atribute VC‑a verificatoru.  
4. **Policy rotacije ključeva** – Nametnite ciklus rotacije od 90 dana za DID metode autentifikacije kako biste ograničili učinak eventualnog kompromisa ključa.  
5. **GDPR‑sukladni zapisi pristanka** – Pohranite zapise pristanka kao VC‑e, povezujući DID subjekta podataka s konkretnim dokazom koji se dijeli.

---

## 6. Planovi za budućnost

| Kvartal | Područje fokusa |
|----------|-----------------|
| Q1 2026 | **Decentralizirani registri povjerenja** – javno tržište pre‑validiranih compliance VC‑ova kroz industrije. |
| Q2 2026 | **AI‑generirane VC predloške** – LLM‑ovi automatski kreiraju VC payloade iz učitanih PDF‑ova, smanjujući ručni rad. |
| Q3 2026 | **Međusobna razmjena dokaza među organizacijama** – peer‑to‑peer DID razmjene omogućuju konsorcijima dobavljača da dijele dokaz bez centralnog čvorišta. |
| Q4 2026 | **Integracija regulatorne promjene** – automatsko ažuriranje opsega VC‑a kad se standardi (npr. [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html)) promijene, čineći vjerodajnice vječno aktualnim. |

Sukob **decentraliziranog identiteta** i **generativne AI** preoblikovat će način na koji se odgovara na sigurnosne upitnike, pretvarajući tradicionalno usko grlo u bešavni trust transakcijski proces.

---

## 7. Kako započeti: Vodič za brzi početak

```bash
# 1. Instalirajte DID alat (Node.js primjer)
npm i -g @identity/did-cli

# 2. Generirajte novi DID za vašu organizaciju
did-cli create did:example:my-company-001 --key-type Ed25519

# 3. Objavite DID dokument u resolver (npr. Ceramic)
did-cli publish --resolver https://ceramic.network

# 4. Izdajte VC za SOC2 izvješće
did-cli issue-vc \
  --issuer-did did:example:my-company-001 \
  --subject-did did:example:vendor-xyz789 \
  --evidence-hash $(sha256sum soc2-report.pdf | cut -d' ' -f1) \
  --type SOC2-TypeII \
  --output soc2-vc.json

# 5. Učitajte enkriptirani dokaz i VC u DID Vault (primjer API‑ja)
curl -X POST https://vault.procurize.com/api/v1/evidence \
  -H "Authorization: Bearer <API_TOKEN>" \
  -F "vc=@soc2-vc.json" \
  -F "file=@soc2-report.pdf.enc"
```

Nakon ovih koraka konfigurirajte Procurize AI da vjeruje novom DID‑u, i sljedeći upitnik koji traži SOC 2 dokaz bit će automatski odgovorđen, potkrepljen verificiranom vjerodajnicom.

---

## 8. Zaključak

Decentralizirani identifikatori i verificirajuće vjerodajnice donose **kriptografsko povjerenje**, **privatnost‑prvo pristup** i **revizijsku mogućnost** u nekada ručni svijet razmjene dokaza za sigurnosne upitnike. Kada se integriraju s AI‑platformom poput Procurize, oni pretvaraju višednevni, visokorizični proces u pitanje sekundi, istovremeno održavajući usklađenost s regulatornim zahtjevima.

Uvođenjem ove arhitekture danas, vaša organizacija se **priprema za budućnost**: sve strožih regulatornih propisa, rastućih ekosustava dobavljača i neizbježnog uspona AI‑potpomognutih sigurnosnih procjena.